Amazon S3 콘솔, 모든 버킷 외부 액세스 요약 표시

2025년 7월 14일 따끈따끈한 기능이 생겨 리뷰의 시간을 가져보도록 하겠습니다.

개요

• Amazon S3에서 외부 액세스 요약(External Access Summary) 기능이 2025년 7월 14일부터 제공되기 시작했습니다.
• 이 기능은 AWS IAM Access Analyzer를 기반으로 하여 모든 AWS 리전에서 추가 비용 없이 사용할 수 있습니다.

주요 기능과 장점

• 통합 보안 관리
  • S3 콘솔에서 직접 모든 버킷의 외부 액세스 정책을 글로벌 요약 형태로 확인 가능합니다.
  • 퍼블릭 액세스 및 크로스 계정 액세스 권한을 가진 버킷을 한눈에 식별 가능 합니다.
  • 리전별로 각 버킷 정책을 개별적으로 검사할 필요가 없습니다.

기존 방식 대비 개선점

• 기존에는 S3 외부 액세스 확인을 위해 다음과 같은 번거로운 과정이 필요했습니다.
  • 버킷별 개별 검사, 리전별 수동 검토, 각 정책 및 ACL 개별 검토 등등..
• 새로운 기능으로는 다음이 가능합니다.
  • 빠른 잘못된 설정 탐지, S3 보안 상태 개선, 최소한의 노력으로 접근 권한 감사

설정 방법 및 준비사항

1. 필요한 권한 설정

• IAM 사용자 또는 역할에 다음 권한이 필요합니다.
  access-analyzer:ListAnalyzers
  access-analyzer:GetFinding
  기타 IAM Access Analyzer 관련 권한

2. 계정 수준 분석기 생성

• 각 분석하려는 리전에서 다음 절차를 수행해야 합니다.
  • IAM → Access Analyzer로 이동
  • 새 분석기 생성 시 계정을 "신뢰 영역" 으로 설정
  • 분석하려는 각 리전에서 개별 설정 필요 합니다.
• 테스트 계정에는 이미 아래와 같은 분석기가 생성되어 있습니다.(뭔가 지우고 새로 생성해도 될지 판단이 안서 그대로 쓰기로 했습니다)
• 신규로 생성이 필요할 경우 분석 유형에서 "외부 액세스 분석" 선택 신뢰 영역으로 "현재 AWS 계정" 선택 합니다.

• 분석기 제약 사항

• 분석기에 아카이브 규칙을 생성합니다.
• Filter Key를 퍼블릭 엑세스 Condition은 is Value 값은 true로 설정하였습니다.

• 아래와 같이 분석기에 아카이브 규칙이 적용되었습니다.

• Resource analysis
• IAM 액세스 보고서 → 액세스 분석기 내 Resource analysis를 선택합니다.

• Select analyzers
• 리소스 분석 우측 상단의 Select analyzers를 선택 후 기 생성하였던 분석기를 선택해 줍니다.

3. 리소스 분석에서 분석기를 통해서 활성 결과 확인하기

4. S3 콘솔에서 확인

• S3 콘솔의 "External Access Summary" 섹션에서 버킷 액세스 현황을 확인할 수 있습니다.
• 아래와 같이 버킷별 외부 액세스 현황을 한눈에 파악 할 수 있습니다.

기대효과

1. 보안 강화

• 의도하지 않은 퍼블릭 액세스 탐지 및 즉시 차단 가능 합니다.

• 크로스 계정 액세스 정책의 체계적 관리가 가능합니다.
• 실시간 보안 위험 모니터링이 가능합니다.

2. 운영 효율성

• 리전 간 이동 없이 통합 관리 합니다.
• 한 번의 클릭으로 모든 퍼블릭 액세스 차단 가능 합니다.
• 감사 목적의 CSV 리포트 다운로드 지원 합니다. 형식은 아래와 같습니다.

3. 비용 절감

• 추가 비용 없이 제공되는 보안 기능 입니다.
• 보안 사고 예방을 통한 잠재적 손실 방지 할 수 있습니다.

[주의사항 및 고려사항]

1. 설정 시 주의사항

• 각 리전마다 개별 분석기 생성이 필요 합니다.
• IAM 권한 설정 시 최소 권한 원칙 적용 합니다.
• 분석기 생성 시 신뢰 영역 설정 신중히 고려가 필요 합니다.

2. 운영 시 고려사항

• 정책 변경 시 약 30분 내 반영 됩니다.
• 정당한 퍼블릭 액세스인 경우 아카이브 처리를 하도록 합니다.
• 정기적인 결과 검토 및 대응 프로세스 구축 합니다.

3. 비용 관리

• IAM Access Analyzer 자체는 무료
• CloudTrail 로깅 활성화 시 별도 비용 발생 합니다.
• 대량 데이터 처리 시 분석 비용 검토 필요 합니다.

[실제 활용 사례]

- 시나리오 1: 다중 리전 운영

• 7개 리전에 50개 이상의 버킷 운영 시
• 리전별 개별 확인 대신 통합 대시보드로 관리
• 보안 위험 버킷 즉시 식별 및 조치

- 시나리오 2: 제3자 앱 통합

• 외부 애플리케이션과의 크로스 계정 액세스 관리
• 의도하지 않은 퍼블릭 액세스 즉시 탐지
• 세밀한 접근 제어 정책 적용

새로 출시된 Amazon S3 외부 액세스 요약 기능은 S3 보안 관리의 가시성과 효율성을 크게 향상시키는 중요한 개선사항으로써 특히 대규모 AWS 환경에서 보안 관리를 단순화하고 위험을 줄이는 데 큰 도움이 될 것 으로 보입니다.